Website gehackt: Was Betriebe jetzt der Reihe nach tun

Woran Sie erkennen, dass Ihre Website gehackt wurde

Typische Anzeichen sind Inhalte oder Links, die niemand im Betrieb eingestellt hat, unbekannte Benutzerkonten, Weiterleitungen auf fremde Seiten und Änderungen, die sich niemand erklären kann. Ein deutliches Signal ist ein Hinweis von Google: Die Search Console meldet im Bericht „Sicherheitsprobleme“ gehackte Inhalte oder Malware, und betroffene Seiten können in den Suchergebnissen mit einem Warnhinweis erscheinen. Browser wie Chrome zeigen vor dem Aufruf solcher Seiten außerdem eine Warnseite an.

Nicht jede Manipulation ist für Sie sichtbar. Googles Anleitung für Websitebetreiber beschreibt, dass gehackte Inhalte teilweise nur Suchmaschinen angezeigt werden, während Besucher eine scheinbar normale Seite sehen. Wenn Sie unsicher sind, prüfen Sie in der Search Console den Bereich „Sicherheitsprobleme“ und sehen Sie sich mit einer Suche nach site: und Ihrer Domain an, welche Seiten Google tatsächlich kennt. Tauchen dort Seiten auf, die Sie nie angelegt haben, ist das ein starkes Indiz.

Notieren Sie von Anfang an, was Ihnen aufgefallen ist, wann Sie es bemerkt haben und welche Seiten oder Funktionen betroffen sind. Diese Notizen brauchen später der Hoster, die technische Betreuung und unter Umständen die Versicherung.

Schritt 1: Ruhe bewahren und den Vorfall koordinieren

Der häufigste Fehler im Ernstfall ist hektisches Reparieren. Wer verdächtige Dateien löscht oder die Startseite schnell „zurechtrückt“, beseitigt Spuren und übersieht oft den eigentlichen Zugang. Das BSI empfiehlt für IT-Notfälle drei Grundregeln: die zuständigen Ansprechpartner kennen, wichtige Informationen sofort weitergeben und Gegenmaßnahmen nur nach Absprache ergreifen.

Legen Sie deshalb fest, wer im Betrieb den Vorfall koordiniert und mit Hoster, technischer Betreuung und weiteren Dienstleistern spricht. Halten Sie fest, wer überhaupt Zugriff auf die Website und ihre Verwaltung hat. So vermeiden Sie, dass mehrere Personen gleichzeitig Änderungen vornehmen oder sich widersprechende Anweisungen geben.

Informieren Sie intern nur die Mitarbeitenden, die für die Bearbeitung gebraucht werden, und bitten Sie sie, verdächtige Nachrichten, Dateien oder Konten nicht eigenmächtig zu löschen. Wenn auch geschäftliche E-Mail-Konten betroffen sein könnten, stimmen Sie den Vorfall über einen anderen Weg ab, etwa telefonisch.

Schritt 2: Hoster und technische Betreuung einschalten

Melden Sie den Verdacht sofort Ihrem Hosting-Anbieter und der Person oder Firma, die Ihre Website technisch betreut. Googles Anleitung nennt dafür einen guten Grund: Der Hoster kann prüfen, ob auch andere Kunden betroffen sind, und Sie bei der Wiederherstellung unterstützen. Beschreiben Sie konkret, was Ihnen aufgefallen ist, und fragen Sie, welche Sicherungen und Protokolle verfügbar sind.

Gibt es keine technische Betreuung, holen Sie sich eine qualifizierte Fachkraft mit Erfahrung bei gehackten Websites. Ob Sie die Bereinigung selbst übernehmen können, klärt die Frage dazu am Ende dieses Beitrags.

Schritt 3: Website vom Netz nehmen und Spuren sichern

Eine gehackte Website kann Besucher gefährden, solange sie erreichbar ist. Googles Anleitung empfiehlt, die Seite offline zu nehmen, sodass sie Besuchern keine Inhalte mehr ausliefert. Eine Fehlerseite, die der befallene Server selbst ausgibt, reicht dafür nach dieser Anleitung nicht, und ein Sperrvermerk für Suchmaschinen wirkt nur auf deren Crawler. Wie Sie die Seite sauber abschalten oder vorübergehend durch eine Hinweisseite auf einem anderen Server ersetzen, klären Sie mit dem Hoster.

Bevor jemand mit dem Aufräumen beginnt, sollte der befallene Stand als Kopie gesichert werden. Für die Ursachensuche können Zeitpunkte, Protokolle und geänderte Dateien wichtig sein. Löschen Sie deshalb nichts vorschnell und setzen Sie die Website nicht eigenmächtig zurück. Vermerken Sie in Ihren Notizen auch jede bereits vorgenommene Maßnahme: was geändert wurde, wann und von wem.

Schritt 4: Alle Zugänge sichern

Ein neues Passwort nur für die Website-Verwaltung greift zu kurz, wenn der Angreifer einen anderen Weg offen hat. Googles Anleitung empfiehlt, die Benutzerkonten der Website durchzusehen, vom Angreifer angelegte Konten zu notieren und zu löschen und die Passwörter aller Zugänge zu ändern: FTP, Datenbank, Server-Administration und das Content-Management-System.

Nehmen Sie auch die Domainverwaltung, das Hosting-Kundenkonto und geschäftliche E-Mail-Postfächer in die Liste auf. Ändern Sie die Passwörter von einem Gerät aus, das nicht selbst verdächtig ist, vergeben Sie für jeden Dienst ein eigenes Passwort und schalten Sie die Anmeldung mit zweitem Faktor ein, wo der Dienst sie anbietet. Nach der Bereinigung sollten die Passwörter laut Google noch einmal gewechselt werden.

Schritt 5: Ursache finden und sauber wiederherstellen

Eine Website ist erst dann wieder verlässlich, wenn nicht nur die sichtbaren Veränderungen entfernt, sondern auch die Sicherheitslücke gefunden und geschlossen ist. Dazu gehören die Website-Verwaltung, Erweiterungen und Themes, Hosting-Konten und verbundene Zugänge. Diese Ursachensuche gehört in die Hände einer Fachkraft.

Für die Wiederherstellung kommt es auf das Backup an. Googles Anleitung rät, zuerst zu prüfen, ob die Sicherung vor dem Angriff entstanden ist. Je nach Ausgangslage unterscheidet sie drei Wege:

Die Anleitung empfiehlt außerdem eine saubere Neuinstallation statt eines bloßen Updates, weil bei Updates Dateien früherer Versionen und damit auch infizierte Dateien zurückbleiben können. Aktualisieren Sie Content-Management-System, Plugins und Themes und entfernen Sie Erweiterungen, die nicht mehr gebraucht werden. Online gehen sollte die Website erst, wenn die Inhalte wiederhergestellt, die fremden Inhalte entfernt und die Ursache behoben ist.

Schritt 6: Überprüfung bei Google anfordern

Hat Google ein Sicherheitsproblem gemeldet, bleibt der Warnhinweis bestehen, bis Sie eine Überprüfung anfordern und diese erfolgreich ist. Die Search Console-Hilfe rät, das Problem auf der gesamten Website zu beheben, nicht nur auf den genannten Beispiel-URLs. Beschreiben Sie in der Anfrage genau, was passiert ist, welche Schritte Sie unternommen haben und woran man erkennt, dass die Bereinigung gewirkt hat.

Schritt 7: Kundinnen und Kunden informieren

Prüfen Sie mit der Fachkraft, ob Besucher auf fremde Seiten umgeleitet wurden, irreführende Inhalte gesehen oder Daten eingegeben haben könnten. Sind personenbezogene Daten betroffen, etwa Formularanfragen oder Kundenkonten, kann die DSGVO eine Meldung an die zuständige Datenschutzaufsicht verlangen, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Ob und wie Sie melden müssen, sollten Sie umgehend fachkundig prüfen lassen. Dieser Hinweis ist allgemein und keine Rechtsberatung.

Kommunizieren Sie nach außen sachlich und nur auf Grundlage geklärter Informationen. Vermutungen über Ursache oder Umfang schaden mehr, als sie helfen. Wenn Kundinnen, Kunden oder Geschäftspartner konkret betroffen sein könnten, stimmen Sie die Information mit den zuständigen Fachleuten ab.

Danach: Wiederholungen vorbeugen

Ist die Website wieder sauber, lohnt sich ein fester Ablauf für Wartung und Zugriffsverwaltung. Halten Sie fest, wer welche Konten besitzt, welche Zugänge wirklich gebraucht werden und wer Änderungen freigibt. Entfernen Sie nicht mehr benötigte Konten und prüfen Sie regelmäßig, ob die Rechte noch zur jeweiligen Aufgabe passen. Klären Sie außerdem, wer Updates einspielt, wer die Meldungen des Hosters liest und an wen ein Verdacht gemeldet wird.

Wie ein solcher Plan mit Updates, Backups und regelmäßig geprobter Wiederherstellung aussieht, beschreibt der Ratgeber zur Website-Wartung. Klare Zuständigkeiten sind übrigens auch die Grundlage einer Vereinswebsite, die im Ehrenamt gepflegt wird, und einer Website für ein Ladengeschäft, deren Öffnungszeiten stimmen sollen.

Ihr nächster Schritt

Wenn Ihre Website gehackt wurde, gilt die Reihenfolge: festhalten, Hoster und Betreuung einschalten, Seite vom Netz nehmen, Zugänge sichern, Ursache klären, sauber wiederherstellen und erst dann die Überprüfung bei Google anfordern. Ist Ihre Website gerade nicht betroffen, schreiben Sie heute eine kurze Notfallliste: Wer ist Ihr Hoster, wer betreut die Technik, wo liegen Zugangsdaten und Backups? Weitere Leitfäden zum Betrieb Ihrer Website finden Sie im Ratgeber.